尝试使用kubectl在AWS EKS集群中创建命名空间-Getting:服务器错误（禁止）：命名空间被禁止

Question

我试图在AWS EKS集群中创建一个名称空间，并不断收到一个错误。

我可以使用默认名称空间做任何我想做的事情，但是当我尝试创建一个新的名称空间时，我被禁止。

这一定是我对用户“thera-eks”做的不正确的事情。也许角色绑定？

看起来我给了角色访问所有内容的权限，因为在规则中我给了它*通配符。

我使用的命令是-

kubectl create namespace ernie

我得到的错误是-

Error from server (Forbidden): namespaces is forbidden: User "thera-eks" cannot create resource "namespaces" in API group "" at the cluster scope

我的role.yaml是：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: full_access
rules:
- apiGroups: ["*"]
  resources: ["*"]
  verbs: ["*"]

我的rolebinding.yaml是：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: full_access_role_binding
subjects:
- kind: User
  name: thera-eks
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: full_access
  apiGroup: rbac.authorization.k8s.io

aws认证配置映射为：

data:
  mapRoles: |
    - groups:
      - system:bootstrappers
      - system:nodes
      rolearn: arn:aws:iam::9967xxxxxxxx:role/eksctl-ops-nodegroup-linux-ng-sys-NodeInstanceRole-346VJPTOXI7L
      username: system:node:{{EC2PrivateDNSName}}
    - groups:
      - eks-role
      - system:master
      rolearn: arn:aws:iam::9967xxxxxxxx:role/thera-eks
      username: thera-eks
  mapUsers: |
    - userarn: arn:aws:iam::9967xxxxxxxx:user/test-ecr
    username: test-ecr
    groups:
    - eks-role

角色"thera-eks"的AWS IAM权限JSON是-

 {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:BatchGetImage",
                "ecr:BatchCheckLayerAvailability",
                "ecr:CompleteLayerUpload",
                "ecr:DescribeImages",
                "ecr:DescribeRepositories",
                "ecr:GetDownloadUrlForLayer",
                "ecr:InitiateLayerUpload",
                "ecr:ListImages",
                "ecr:PutImage",
                "ecr:UploadLayerPart",
                "ecr:GetAuthorizationToken"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "eks:*",
                "iam:ListRoles",
                "sts:AssumeRole"
            ],
            "Resource": "*"
        }
    ]
}

Answer 1

@mdaniel和@PEkambaram是正确的，但为了更好地理解，我想用官方文档对其进行扩展和备份：

RBACRole或ClusterRole包含表示一组权限的规则。权限纯粹是可加的（没有拒绝规则）。

角色始终在特定命名空间内设置权限；创建角色时，必须指定它所属的命名空间。

相比之下，ClusterRole是非命名空间的资源。资源有不同的名称（Role和ClusterRole），因为库伯内特斯对象总是必须有名称空间或没有名称空间；它不能两者兼而有之。

ClusterRoles有多种用途。您可以使用ClusterRole来：

>

定义对命名空间资源的权限，并在单个命名空间内授予权限

定义对命名空间资源的权限，并跨所有命名空间授予权限

定义群集范围资源的权限

如果要在命名空间中定义角色，请使用角色；如果要在集群范围内定义角色，请使用ClusterRole。

您还可以找到一个ClusterRole的示例：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  # "namespace" omitted since ClusterRoles are not namespaced
  name: secret-reader
rules:
- apiGroups: [""]
  #
  # at the HTTP level, the name of the resource for accessing Secret
  # objects is "secrets"
  resources: ["secrets"]
  verbs: ["get", "watch", "list"]

对于ClusterRoleBinding：

apiVersion: rbac.authorization.k8s.io/v1
# This cluster role binding allows anyone in the "manager" group to read secrets in any namespace.
kind: ClusterRoleBinding
metadata:
  name: read-secrets-global
subjects:
- kind: Group
  name: manager # Name is case sensitive
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: secret-reader
  apiGroup: rbac.authorization.k8s.io

链接的文档将向您展示所有必要的细节，其中包含有助于理解和设置RBAC的示例。